PHP'nin geliştirici takımı 21 Ekim'de iki kritik güvenlik açığı için acil güvenlik güncellemeleri yayınladı. CVE-2026-109618 ve CVE-2026-109619 olarak kaydedilen bu açıklar, kimliği doğrulanmamış saldırganların doğrudan web sunucusu üzerinde kod çalıştırmasına (RCE) izin veriyor ve CVSS 9.2 puanı almış. Bu, internet üzerinde ortaya çıkan en tehlikeli açıklar arasında yer alıyor.
Etkilenen sürümler ve sistemler
Güvenlik güncellemeleri PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yayımlandı. Açıklar, PHP-FPM (standalone daemon), Apache mod_php (web sunucusu modülü), php-cgi (CGI uygulaması), FrankenPHP ve LiteSpeed dahil olmak üzere tüm PHP kurulum tiplerini etkiliyordu. Bu çeşitli kurulum yöntemleri, açığın milyonlarca web sunucusuna yayılmasını sağlıyor. WordPress, Drupal, Joomla, Magento ve diğer İçerik Yönetim Sistemleri, internetteki en popüler uygulamalar olduğu için özellikle risk altında.
Saldırılar hali hazırda başladı
WatchTowr'un güvenlik analisti Jake Knott, istismarların kendi algılama araçlarına hali hazırda kaydedilmiş olduğunu söyledi. Bu, açıklar kamu bilinirliğe ulaştığında saldırıların şimdiden gerçekleştiğini gösteriyor. Finlandiya hükümet hizmetleri, Hollanda parlamentosu ve privacy grubu noyb (noyb) hızlı hareket ederek, güncellenebilecek kadar güvenli olmayan sitelerini geçici olarak çevrimdışı aldı. CERT-EU da resmi olarak uyarı yayınladı.
Teknik açıklama
PHP'deki çoğu RCE açığı, ör. girdi doğrulama başarısız, serialize fonksiyonlarında hata veya şablon enjeksiyonu nedeniyle ortaya çıkar. Bu özel açıkların teknik detayları şu anda kısıtlı, ancak WatchTowr analistleri saldırıların oldukça basit ve geniş çapta otomatize edilebileceğini işaret ediyor. Bu, kötü niyetli botlar tarafından milyonlarca sitenin taramasının ve istismarının hızla gerçekleşebileceği anlamına geliyor.
Merak edilenler
Hemen ne yapmalı? PHP kurulumunuzu güvenli sürüme (8.5.12, 8.4.27, 8.3.36 veya 8.2.35) acil olarak güncelleyin. Hosting sağlayıcınız otomatik güncellediyse sorun değil, kendi sunucunuz varsa işlem yapın. Özel PHP sürümü kullanıyorsanız sürümü güncelleyin veya geçici olarak eski PHP sürümünden açığa karşı filtresiz bağlantı yapan modülleri devre dışı bırakın.
Web sitesim saldırıya uğradı mı? Sunucu erişim loglarını (access log, error log) 20-21 Ekim'den itibaren kontrol edin. POST/GET istekleri içeren anormal faaliyetleri arayın ve bulursanız güvenlik uzmanı danışın.
Bu açıklar neden bu kadar ciddi? RCE (uzaktan kod yürütme) internetin en kritik güvenlik riski sayılıyor. Saldırgan sunucuda istediğini yapabildikten sonra veri çalmak, kişi bilgilerini pazarlamak veya ransomware dağıtmak oldukça kolay olur. Gecikmek çok maliyetli olabilir.
